CVE-2024-10149: podatność w wtyczce Social Slider Feed dla WordPress

Co wiadomo

Wtyczka Social Slider Feed dla WordPress w wersjach przed 2.2.9 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Stored Cross-Site Scripting (XSS), nawet gdy zdolność unfiltered_html jest wyłączona, np. w konfiguracji multisite.

Wpływ biznesowy

Podatność ta może prowadzić do wstrzyknięcia złośliwego kodu JavaScript przez uprawnionych użytkowników, co zagraża bezpieczeństwu witryny i jej użytkowników. Atakujący mogą wykorzystać tę lukę do przejęcia sesji, manipulacji treścią lub eskalacji uprawnień. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, szczególnie w środowiskach z wieloma użytkownikami o wysokich uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Social Slider Feed do wersji 2.2.9 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami administratora oraz monitorować logi pod kątem podejrzanych działań. Przegląd konfiguracji multisite i ograniczenie możliwości wprowadzania nieprzefiltrowanego HTML również może zmniejszyć ryzyko.

Źródła

• NVD
• Reference